IP-adressplanering för Azure virtuella nätverk

Den här artikeln beskriver planering av privata och offentliga IP-adresser för Azure distributioner. Du lär dig hur du allokerar adressutrymme, undviker överlappande intervall, väljer rätt offentlig IP-typ och utvärderar stöd för dubbla IPv6-staplar.

Vad den här artikeln beskriver

Den här artikeln beskriver strategier för privat adressallokering, offentliga IP-typer och SKU:er, CIDR-planering för att undvika överlappande intervall, överväganden med dubbla IPv6-staplar och IP Address Manager (IPAM) för storskaliga miljöer.

Vem behöver den här artikeln

Läs den här artikeln om du:

  • Distribuerar ett virtuellt nätverk (VNet) i Azure och måste bestämma vilka IP-adressintervall som ska användas.
  • Ansluter Azure nätverk till lokala miljöer och behöver förhindra adresskonflikter.
  • Du måste välja mellan Standardoffentliga IP-adresser, offentliga IP-prefix eller att använda dina egna IP-intervall (BYOIP).
  • Vill du förstå när IPv6 dual stack är lämpligt för dina arbetslaster.
  • Hanterar en stor eller växande miljö och behöver en strategi för att spåra IP-allokeringar i stor skala.

Fokus för lift-and-shift: Välj privata intervall som inte överlappar ditt lokala nätverk så att VPN- eller ExpressRoute-routning fungerar utan översättning. Reservera ett stort block för landningszoner med plats för de arbetsbelastningar som du ska migrera under de närmaste åren.

Modernisera fokus: Planera icke-överlappande adressutrymme i dina primära regioner och säkerhetskopieringsregioner så att aktiva-aktiva arbetsbelastningar kan peer-kopplas senare och reservera korrekt storleksanpassade undernät för App Service Environment och AKS.

Fokus mellan moln: Skapa en global adressplan som inte kolliderar med befintliga AWS VPC- eller Google Cloud CIDR-intervall, vilket är obligatoriskt innan du ansluter moln via VPN eller sammankoppling.

Azure tjänster och funktioner

Följande tjänster och funktioner stöder IP-adressplanering i Azure:

Tjänst eller funktion Vad det ger När du ska använda detta
Privata adressutrymmen för RFC 1918 Tre reserverade intervall för privat bruk: 10.0.0.0/8, 172.16.0.0/12 och 192.168.0.0/16. Azure virtuella nätverk använder dessa intervall för intern kommunikation. Alltid: Varje virtuellt nätverk kräver minst ett privat adressområde av dessa adressutrymmen.
Delat adressutrymme för RFC 6598 100.64.0.0/10: behandlas som privat adressutrymme i Azure. Ursprungligen utformad för operatörsklassade NAT-miljöer (CGNAT). När din organisation redan använder RFC 6598-intervall lokalt, eller när RFC 1918-utrymmet är slut.
Offentlig IP-standard En statisk, zonredundant offentlig IP-adress tilldelad till en enda resurs. Säker som standard med blockerad inkommande trafik. När en resurs behöver en unik offentlig slutpunkt, till exempel en lastbalanserare, VPN-gateway eller en offentlig virtuell dator.
Offentligt IP-prefix Ett reserverat sammanhängande block med offentliga IP-adresser från en specifik Azure region. När du behöver förutsägbara IP-intervall för NAT Gateway, Virtual Machine Scale Sets eller externa tillägg till en godkännandelista.
BYOIP/Anpassat IP-prefix Anslut dina egna offentliga IP-intervall till Azure. Använder en trefassprocess: verifiera ägarskapet, etablera prefixet och beställ det för användning. När du behöver bevara befintligt IP-anseende, behålla poster i externa tillåtelselistor eller migrera arbetsbelastningar utan att ändra offentliga IP-adresser.
Azure Virtual Network Manager IPAM En inbyggd FUNKTION för IP-adresshantering i Azure Virtual Network Manager. Allmänt tillgänglig i de flesta regioner. Ger centraliserad synlighet och allokeringsspårning mellan prenumerationer. När du hanterar många VNets i flera prenumerationer och behöver automatiserad spårning av utnyttjandet av adressutrymmet. Se Centraliserad nätverkshantering.

Så här väljer du

Använd följande beslutstabeller för att vägleda dina BESLUT om IP-planering.

Metodtips för IP-planering

Practice Varför Example
Tilldela ett stort överordnat CIDR-block (/16) och dela upp det Förhindrar adressbrist när arbetsbelastningarna växer. Enklare att sammanfatta rutter. Tilldela 10.1.0.0/16 till produktionsmiljön och skapa sedan /24 undernät för varje arbetsbelastningsnivå.
Lämna minst 30% utrymme i varje undernät Skalningstjänster som Virtual Machine Scale Sets, AKS och App Service-miljöer förbrukar IP-adresser snabbt under utskalning. Ett /24-undernät innehåller 251 användbara IP-adresser. Om din grunddistribution är 100 har du utrymme att tredubbla den.
Använda sammanhängande CIDR-block för varje miljö Förenklar vägsammanfattning och brandväggsregler. En enda sammanfattningsrutt representerar hela miljön. Produktion: 10.1.0.0/16. Mellanlagring: 10.2.0.0/16. Utveckling: 10.3.0.0/16.
Undvik Azure plattformsreserverade och förbjudna intervall Om du använder reserverade intervall orsakas routningsfel och distributionsfel. Tilldela inte 169.254.0.0/16, 168.63.129.16/32, 224.0.0.0/4, 127.0.0.0/8 eller 255.255.255.255/32.
Dokumentallokeringar i Azure IPAM eller ett kalkylblad Förhindrar överlappning när miljön växer. Centraliserar synligheten för nätverksteam. Använd Azure Virtual Network Manager IPAM för automatisk spårning eller underhåll av ett delat kalkylblad för mindre miljöer.

Diagram som visar hur ett VNet-adressutrymme delas in i undernät som är stora för arbetsbelastningsnivåer och dedikerade plattformstjänster som gateway, brandvägg och Bastion.

Offentliga IP-adresstyper

Type Vad det är När du ska använda detta
Offentlig IP-standard En individuellt tilldelad statisk offentlig IP-adress. Zonredundant som standard i tillgänglighetszonaktiverade regioner. Säker som standard: all inkommande trafik blockeras tills en NSG- eller lastbalanseringsregel tillåter det. Offentliga lastbalanserare, VPN-gatewayer, Azure Bastion, programgatewayer eller alla resurser som behöver en unik offentlig slutpunkt.
Offentligt IP-prefix Ett reserverat sammanhängande block med offentliga IP-adresser från en viss region. Garanterar sekventiella adresser. NAT Gateway (kräver prefix för flera utgående IP-adresser), Virtual Machine Scale Sets eller när externa system behöver lägga till ett förutsägbart intervall med IP-adresser i en godkänd lista.
BYOIP/Anpassat IP-prefix Kundägda offentliga IP-intervall som ansluts till Azure genom en process i tre faser: validering, etablering och idrifttagning. Regionala prefix driftsätts inom cirka 30 minuter; globala prefix tar 3–4 timmar. Bevara IP-rykte under molnmigrering, upprätthålla externa godkända listposter eller uppfylla regelkrav för IP-ägarskap. IP-adresser som härleds från ett anpassat IP-prefix kan också använda Azure DDoS Protection.

Note

Offentliga IP-adresser för grundläggande SKU drogs tillbaka den 30 september 2025. Befintliga grundläggande IP-adresser fortsätter att fungera men stöds inte och har inget serviceavtal. Uppgradera till Standard SKU för alla nya distributioner.

IPv6-beslut

Scenario Recommendation Motivering
Arbetsbelastningen hanterar endast IPv4-klienter, inga regelmässiga IPv6-krav Endast för IPv4 Enklaste konfiguration. Undviker hanteringskostnader med dubbla staplar. De flesta Azure tjänster stöder IPv4 internt.
Arbetsbelastningen måste hantera IPv6-klienter, eller så kräver regler IPv6-support Dubbla staplar (IPv4 + IPv6) Azure virtuella nätverk har stöd för undernät med dubbla staplar. Distribuera IPv6 tillsammans med IPv4 på samma resurser.
Arbetsbelastningen behöver IPv6 men förlitar sig på Azure Firewall, Virtual WAN eller routningsserver Endast IPv4 (med extern IPv6-avslutning) Azure Firewall, Virtual WAN och Route Server stöder för närvarande inte IPv6. Avsluta IPv6 på en extern lastbalanserare eller gränsenhet innan trafiken kommer in i dessa tjänster. VPN Gateway IPv6 finns i förhandsversionen.

IPv6 med dubbla stackar i Azure

Azure stöder IPv6-distributioner med dubbla staplar i virtuella nätverk. När du aktiverar dubbla staplar får varje undernät både ett IPv4-intervall och ett IPv6 /64-intervall. Resurser tar emot adresser från båda familjerna och kan kommunicera via båda protokollen samtidigt.

IPv6 i Azure har specifika storlekskrav. IPv6-undernät måste vara exakt /64. Ingen annan prefixlängd stöds. IPv6-adressutrymmet som du tilldelar till ett virtuellt nätverk måste vara tillräckligt stort för att rymma /64-undernät för varje undernät som behöver IPv6-anslutning. Planera din IPv6-adressallokering tillsammans med dina IPv4-intervall under den inledande nätverksdesignen.

Följande Azure tjänster stöder IPv6-konfigurationer med dubbla staplar:

Service Stöd för IPv6
Virtuellt Azure-nätverk Dubbla stackundernät med /64 IPv6-intervall
Standardlastbalanserare Offentliga och interna IPv6-klientdelar
VPN-gateway IPv6-tunnelslutpunkter (förhandsversion; kräver opt-in)
NAT-gateway Utgående IPv6-översättning (endast StandardV2 SKU; Standard-SKU är endast IPv4)
Offentlig IP-adress (standard-SKU) Offentliga IPv6-adresser
Skalningsuppsättningar för virtuella maskiner IPv6-nätverksgränssnitt
VNet-peering IPv6-trafik över peerkopplade virtuella nätverk
Nätverkssäkerhetsgrupper IPv6-regler för filtrering
DNS (Azure DNS) Stöd för AAAA-post

Viktiga tjänster som inte stöder IPv6: Azure Firewall (kräver endast IPv4-undernät), Virtual WAN (endast IPv4) och Routningsserver (endast IPv4). VPN Gateway stöder IPv6 i läget med dubbla staplar men endast som en förhandsgranskningsfunktion (kräver att du anmäler dig). Om din arkitektur är beroende av Azure Firewall, Virtual WAN eller Routningsserver för trafikkontroll eller routning utformar du nätverket så att IPv6-trafik hanteras innan du når dessa komponenter.

Detaljerade IPv6-funktioner, begränsningar och konfigurationssteg finns i IPv6 för Azure Virtual Network.

Azure reserverade adresser

Azure reserverar fem IP-adresser i varje undernät:

Reserverad adress Purpose
Första adressen (.0) Nätverksidentifierare
Andra adressen (.1) Standardgateway
Tredje adress (.2) Azure DNS mappning
Fjärde adress (.3) Azure DNS mappning
Senaste adress (sändning) Sändningsadress

Dela in dessa fem reserverade adresser i alla beräkningsberäkningar för undernätsstorlek. Ett /24-undernät ger totalt 256 adresser minus 5 reserverade, vilket ger 251 användbara värd-IP-adresser. Det minsta IPv4-undernätet som stöds är /29 (8 adresser minus 5 reserverade = 3 användbara). Det största IPv4-undernätet som stöds är /2.

Tip

Offentliga IP-adresser för standard-SKU medför en avgift oavsett om de är kopplade till en resurs eller inte. Som en del av god IP-hygien tar du regelbundet bort offentliga IP-adresser som du inte längre använder och släpper offentliga IP-prefix som du har vuxit ur. Oanslutna offentliga IP-adresser är en vanlig källa till kostnader som kan undvikas och en onödig attackyta.

Designöverväganden

Designfokus för lift-and-shift-IP-planering

  • Reservera ett enda stort CIDR-block (en /16 är vanlig) för landningszonen och dela upp den i del för varje migrerat program, vilket lämnar en buffert på ungefär 20 procent för tillväxt.
  • Välj intervall som inte överlappar lokala nätverk som du ansluter via VPN Gateway eller ExpressRoute, så routning fungerar utan adressöversättning.
  • Ta hänsyn till Azure fem reserverade adresser per undernät och de dedikerade undernät som plattformstjänster kräver, till exempel GatewaySubnet (/27) och AzureFirewallSubnet (/26).
  • I miljöer där nätverk aldrig etablerar peering kan du medvetet återanvända privata IPv4-intervall för att spara på adressutrymmet.

Modernisera designfokus för IP-planering

  • Allokera icke-överlappande adressintervall i din primära region och din sekundära region så att arbetslaster i aktiv-aktiv-konfiguration senare kan använda global peering utan att behöva adressera om.
  • Reservera en dedikerad undernätsstorlek för App Service Environment (/24 eller /23 nära maximal skala). För AKS med CNI Overlay ska du endast ändra storlek på undernätet för noderna eftersom poddar ritar från ett separat överläggs-CIDR, vilket gör nodundernätet mycket mindre än vad en platt CNI-design kräver.
  • Reservera ett dedikerat undernät för privata slutpunkter så att PaaS-implementeringen inte fragmentera din adressplan.
  • Använd Azure Virtual Network Manager IP-adresshantering för att spåra och automatisera allokeringar när din miljö skalar.

Designfokus för IP-planering mellan moln

  • Upprätta en global adressplan först: reservera Azure CIDR-block som inte överlappar befintliga virtuella AWS-datorer eller Google Cloud VPC-nätverk, vilket krävs för dirigerad VPN eller sammankoppling.
  • Dokumentera adressintervallen för varje anslutet moln och gren så att du kan planera sammanfattade vägar via Azure Virtual WAN.
  • Reservera adressutrymme för överföringskomponenter, till exempel Virtual WAN hubb- och VPN-gatewayundernät, med utrymme att skala när du lägger till molnkanter och grenar.
  • Där överlappningar är oundvikliga, planera att använda NAT för de berörda VPN-anslutningarna eller ändra adresseringen för arbetsbelastningar under migreringen snarare än efteråt.

Förutsättningar

Innan du planerar din IP-adressallokering:

  • Design av virtuellt nätverk: Du har en befintlig eller planerad VNet-struktur. Om du inte har utformat dina virtuella nätverk ännu kan du läsa Azure virtuella nätverk och undernät först.
  • Lokal IP-inventering: Dokumentera befintliga lokala adressintervall, inklusive alla intervall som används av avdelningskontor, datacenter eller andra molnleverantörer. Icke-överlappande adresser krävs för hybridanslutning.
  • Tillväxtprognoser: Uppskatta hur många ytterligare undernät och värdar du behöver under de kommande 2–3 åren. Det är enklare att allokera adressutrymme i förväg än att expandera ett virtuellt nätverk senare.

Säkerhetsfrågor

IP-planering har direkta säkerhetskonsekvenser. Följ dessa metoder för att minska risken:

  • Förhindra överlappning av adress: Överlappande IP-intervall mellan lokala nätverk, Azure virtuella nätverk och peerkopplade virtuella nätverk orsakar routningsfel. Trafiken kan nå fel mål eller tas bort tyst. Kontrollera att varje adressintervall är unikt i hela nätverket.
  • Undvik förbjudna intervall: Azure reserverar följande intervall för plattformsåtgärder. Använd dem aldrig som VNet-adressutrymme:
    • 169.254.0.0/16 (lokal länk)
    • 168.63.129.16/32 (Azure intern DNS)
    • 224.0.0.0/4 (flervägsutsändning)
    • 127.0.0.0/8 (loopback-adress)
    • 255.255.255.255/32 (sändning)
  • Dokumentera och granska: För en aktuell förteckning över alla IP-tilldelningar. Odokumenterade intervall leder till oavsiktlig överlappning när nya arbetsbelastningar distribueras. Använd Azure Virtual Network Manager IPAM för automatisk efterlevnadsspårning eller underhåll av ett delat kalkylblad som granskas under varje distribution.
  • Skydda offentliga IP-adresser: Associera Azure DDoS Protection med offentliga IP-resurser i produktionsmiljöer. BYOIP-intervall kan också skyddas av DDoS Protection.

De här artiklarna beskriver ämnen som interagerar med IP-adressplanering:

Learn more

Nästa steg

Tip

Utforska på egen hand? Gå tillbaka till översiktsnavigatorn för att hitta nästa artikel efter funktion.

Nästa steg i din lift-and-shift-resa:

Skydda dina undernät med nätverkssäkerhetsgrupper: Spegla dina befintliga brandväggsregler som NSG-regler för att upprätthålla din säkerhetsstatus i Azure.

Nästa steg i moderniseringsresan:

Skydda dina undernät med nätverkssäkerhetsgrupper: Framtvinga strikt segmentering så att endast lastbalanserarens trafik når appundernäten.

Nästa steg i din molnöverskridande resa:

Skydda dina undernät med nätverkssäkerhetsgrupper: Spegla dina AWS-säkerhetsgrupper och Google Cloud-brandväggsregler som Azure NSG:er.

  • Last updated on